在 go get 或 go get -d 期间发现任意代码执行：Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本允许 'go get' 远程命令执行。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中含有 Git 检出，而且完成了其他特定工作来确保操作的正确顺序，则可以诱骗 'go get' 重复使用此 Git 检出来提取 pkg2 中的代码。如果 Subversion 存储库的 Git 检出在 .git/hooks/ 中有恶意命令，则这些命令将会在运行 'go get' 的系统上执行。(CVE-2017-15041) smtp.PlainAuth 容易受中间人密码收集影响。在 Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本中，存在一个意外的明文问题。RFC 4954 要求在 SMTP 期间，PLAIN auth 方案必须仅用于使用 TLS 保护的网络连接。Go 1.0 中的原始 smtp.PlainAuth 实现会强制执行此请求，并且对此已进行了纪录。在 2013 年的上游问题 #5184 中，此状况已发生改变，服务器可决定是否接受 PLAIN。结果是，如果您设定的中间人 SMTP 服务器未宣传 STARTTLS 而是宣传 PLAIN auth 没有问题，则 smtp.PlainAuth 实现会发送用户名和密码。(CVE-2017-15042)

golang 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。golang 程序包提供 Go 编程语言编译器。下列程序包已升级到更新的上游版本： golang (1.9.4)。(BZ#1479095, BZ#1499827) 安全修复：* golang：'go get' 或 'go get -d' 中存在任意代码执行 (CVE-2017-15041) * golang：smtp.PlainAuth 易遭中间人网络钓鱼 (CVE-2017-15042) * golang：通过 C 编译器选项的 ‘go get’ 中存在任意代码执行 (CVE-2018-6574) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.5 版本说明。

下列程序包已升级到更新的上游版本： golang (1.9.4)。安全修复：- golang：“go get”或“go get -d”中存在任意代码执行 (CVE-2017-15041) - golang：smtp.PlainAuth 易遭中间人网络钓鱼 (CVE-2017-15042) - golang：“go get”期间通过 C 编译器选项执行任意代码 (CVE-2018-6574) 其他变更：

go-toolset-7 和 go-toolset-7-golang 更新现在可用于 Red Hat Developer 工具。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Go Toolset 提供 Go 编程语言工具及库。Go 又称为 golang。安全修复：* Go 的“go get”命令处理源代码存储库检出的方式中发现任意命令执行缺陷。能够主控恶意存储库的远程攻击者可能会利用此缺陷，在客户端造成任意命令执行。(CVE-2017-15041) * 据发现，Go 中的 smtp.PlainAuth 验证方案未正确验证 TLS 请求。远程中间人攻击者可能利用此缺陷找到 Go 应用程序发送的 SMTP 凭证。(CVE-2017-15042) 缺陷修复：* 之前，go-toolset-7 Software Collection 的启用脚本错误地将 GOPATH 环境变量设定到需有 root 权限才能执行写入操作的目录。因此，go 编译器会在执行特定命令时意外终止。已变更启用脚本，可正确处理 GOPATH，所述问题已不再发生。(BZ#1512013)

远程主机受到 GLSA-201710-23 中所述漏洞的影响（Go：多个漏洞）在 Go 中发现多个漏洞。请检查下面的参考以了解详细信息。影响：远程攻击者可执行任意 Go 命令或发动中间人攻击。解决方法：目前无任何已知的解决方法。

golang 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。golang 程序包提供 Go 编程语言编译器。下列程序包已升级到更新的上游版本： golang (1.9.4)。(BZ#1479095, BZ#1499827) 安全修复：* golang：'go get' 或 'go get -d' 中存在任意代码执行 (CVE-2017-15041) * golang：smtp.PlainAuth 易遭中间人网络钓鱼 (CVE-2017-15042) * golang：通过 C 编译器选项的 ‘go get’ 中存在任意代码执行 (CVE-2018-6574) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.5 发行说明。

在 go get 或 go get -d 期间发现任意代码执行。Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本允许 'go get' 远程命令执行。使用自定义网域时，可以通过安排，将 example.com/pkg1 指向 Subversion 存储库，而将 example.com/pkg1/pkg2 指向 Git 存储库。如果 Subversion 存储库在其 pkg2 目录中含有 Git 检出，而且完成了其他特定工作来确保操作的正确顺序，则可以诱骗 'go get' 重复使用此 Git 检出来提取 pkg2 中的代码。如果 Subversion 存储库的 Git 检出在 .git/hooks/ 中有恶意命令，则这些命令将会在运行 'go get' 的系统上执行。(CVE-2017-15041) smtp.PlainAuth 容易受中间人密码收集影响。在 Go 1.8.4 之前版本和 1.9.1 之前的 1.9.x 版本中，存在一个意外的明文问题。RFC 4954 要求在 SMTP 期间，PLAIN auth 方案必须仅用于使用 TLS 保护的网络连接。Go 1.0 中的原始 smtp.PlainAuth 实现会强制执行此请求，并且对此已进行了纪录。在 2013 年的上游问题 #5184 中，此状况已发生改变，服务器可决定是否接受 PLAIN。结果是，如果您设定的中间人 SMTP 服务器未宣传 STARTTLS 而是宣传 PLAIN auth 没有问题，则 smtp.PlainAuth 实现会发送用户名和密码。(CVE-2017-15042) 通过 C 编译器选项进行 'go get' 期间发生任意代码执行。在创建期间，Go 的 'go get' 命令处理 gcc 和 clang 敏感选项的方式中发现一个任意命令执行缺陷。能够主控恶意存储库的远程攻击者可能会利用此缺陷，在客户端造成任意命令执行。(CVE-2018-6574)

运行版本 CORE 5.04 / MAIN 5.04 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 golang 程序包：- Go 的 go get 命令处理源代码存储库检出的方式中发现任意命令执行缺陷。能够主控恶意存储库的远程攻击者可能会利用此缺陷，在客户端造成任意命令执行。(CVE-2017-15041) - 据发现，Go 中的 smtp.PlainAuth 验证方案未正确验证 TLS 要求。远程中间人攻击者可能利用此缺陷找到 Go 应用程序发送的 SMTP 凭证。(CVE-2017-15042) - 在构建期间，Go 的 go get 命令处理 gcc 和 clang 敏感选项的方式中发现一个任意命令执行缺陷。能够主控恶意存储库的远程攻击者可能会利用此缺陷，在客户端造成任意命令执行。(CVE-2018-6574) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
104392	Amazon Linux AMI : golang (ALAS-2017-918)	Nessus	Amazon Linux Local Security Checks	2017/11/6	2018/4/18	critical
108990	RHEL 7 : golang (RHSA-2018:0878)	Nessus	Red Hat Local Security Checks	2018/4/11	2019/10/24	critical
109448	Scientific Linux 安全更新：SL7.x 中的 golang (noarch)	Nessus	Scientific Linux Local Security Checks	2018/5/1	2020/2/24	critical
105367	RHEL 7：go-toolset-7 和 go-toolset-7-golang (RHSA-2017:3463)	Nessus	Red Hat Local Security Checks	2017/12/19	2024/4/27	critical
104066	GLSA-201710-23：Go：多个漏洞	Nessus	Gentoo Local Security Checks	2017/10/23	2021/1/11	critical
109376	CentOS 7 : golang (CESA-2018:0878)	Nessus	CentOS Local Security Checks	2018/4/27	2019/12/31	critical
109690	Amazon Linux 2：golang (ALAS-2018-1011)	Nessus	Amazon Linux Local Security Checks	2018/5/11	2018/5/11	critical
127229	NewStart CGSL CORE 5.04 / MAIN 5.04：golang 多个漏洞 (NS-SA-2019-0047)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/14	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical